CN104349325B - 用于监测伪无线接入点ap的方法及装置 - Google Patents

Abstract

本发明公开了一种用于监测伪无线接入点AP的方法及装置，其中方法包括：运营商部署的每一合法AP按如下方式监测伪AP：运营商管理的多个合法AP采用蜂窝型组网方案进行部署，每个合法AP工作在指定的信道上，且在进行数据传输的同时，扫描附近AP发出的信标帧；从获取的信标帧中提取扫描到的AP信息；将提取的AP信息与合法AP信息数据库进行比对，其中，合法AP信息数据库中存储合法AP的信息；当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP。采用本发明可以实现针对伪AP的大范围无缝监测，为治理运营级AP面临的伪AP安全问题提供有力支持。

Description

用于监测伪无线接入点AP的方法及装置

技术领域

本发明涉及WLAN(Wireless Local Area Networks，无线局域网)技术领域，尤其涉及用于监测伪AP(Access Point，无线接入点)的方法及装置。

背景技术

随着WLAN技术的快速普及，运营级WLAN网络已成为运营商提供宽带无线接入的重要手段，尤其在人流密集的热点地区，WLAN AP更是得到大规模铺设。据统计，目前我国运营级WLAN AP已超过200万台。

运营级WLAN AP在给公众提供便捷的无线接入的同时，也引发一些安全隐患，其中比较突出的安全问题就是伪AP。所谓伪AP就是黑客将并非由运营商部署的AP(后面简称为“伪AP”或“非法AP”)放置在由运营商部署的真实AP(后面简称为“合法AP”)附近，并将非法AP设置成与合法AP具有完全相同的名称(SSID：Service Set Identifier，服务集标识)，以伪装成由运营商部署的合法AP，从而诱导用户连接上非法AP，在此基础上通过通讯监听、DNS(Domain Name System，域名系统)劫持、钓鱼攻击等手段，给用户带来隐私泄露、信息骚扰(广告及非法内容)、账户钓鱼等安全隐患。

目前针对伪AP的治理主要包括架设无线监测点、人工定期站点审查以及在手机端增加伪AP监测功能等方式。其中，第一种方式受限于无线信号的空间覆盖范围，第二种依赖于人工实施，这两种方法都难以大规模推广；而第三种方式则除了需在网络侧设备上进行相应的部署外，还需要在用户手机上安装一个相应的应用软件，且用户每到一个新的无线局域网内，都要重新进行数据更新，难以实现伪AP的无缝监测。故总体说来，这三种方法都不适用于在大规模铺设的运营级WLAN网络中进行伪AP监测。

发明内容

本发明实施例提供一种用于监测伪AP的方法，适用于在大规模铺设的运营级WLAN网络中进行伪AP监测，该方法包括：

运营商部署的每一合法AP按如下方式监测伪AP：

在传输数据的同时，扫描附近AP发出的信标帧；

从获取的信标帧中提取扫描到的AP信息；

将提取的AP信息与合法AP信息数据库进行比对，其中，合法AP信息数据库中存储合法AP的信息；

当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP。

一个实施例中，所述扫描附近AP发出的信标帧，包括：

在指定的进行数据传输的单信道上扫描附近AP发出的信标帧。

一个实施例中，所述合法AP采用蜂窝型组网方式进行部署，且其中每个合法AP工作在指定的单信道上。

一个实施例中，所述扫描附近AP发出的信标帧，包括：

按任意的扫描间隔，扫描附近AP发出的信标帧。

一个实施例中，所述从获取的信标帧中提取扫描到的AP信息包括：

从获取的信标帧中提取扫描到的AP的MAC(Media Access Control，介质访问控制)地址、SSID、信道号、供应商标识其中之一或任意组合。

一个实施例中，合法AP信息数据库中存储的合法AP信息，由网管员在AP维护界面上配置或通过无线局域网接入控制器AC统一配置后，下发至合法AP，且进行实时更新。

一个实施例中，所述的方法还包括：

监测到伪AP的合法AP发出告警消息，所述告警消息指示发现伪AP。

本发明实施例还提供一种用于监测伪AP的装置，用以适于在大规模铺设的运营级WLAN网络中进行伪AP监测，运营商部署的每一合法AP中均内置有该装置，该装置包括：

伪AP信息采集模块，用于对合法AP附近的AP进行信息采集；

伪AP识别模块，用于对伪AP进行识别；

其中，所述伪AP信息采集模块包括：

伪AP扫描模块，用于在合法AP传输数据的同时，扫描合法AP附近的AP发出的信标帧；

伪AP信息提取模块，用于从获取的信标帧中提取扫描到的AP信息；

所述伪AP识别模块包括：

合法AP信息数据库，用于存储合法AP的信息；

伪AP判定模块，用于将提取的AP信息与合法AP信息数据库进行比对，当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP。

一个实施例中，所述伪AP扫描模块具体用于：

在指定的进行数据传输的单信道上扫描合法AP附近的AP发出的信标帧。

一个实施例中，所述合法AP采用蜂窝型组网方式进行部署，且其中每个合法AP工作在指定的单信道上。

一个实施例中，所述伪AP扫描模块具体用于：

按任意的扫描间隔，扫描合法AP附近的AP发出的信标帧。

一个实施例中，所述伪AP信息提取模块具体用于：

从获取的信标帧中提取扫描到的AP的MAC地址、SSID、信道号、供应商标识其中之一或任意组合。

一个实施例中，合法AP信息数据库中存储的合法AP信息，由网管员在AP维护界面上配置或通过无线局域网接入控制器AC统一配置后，下发，且进行实时更新。

一个实施例中，所述伪AP判定模块还用于发送告警消息，所述告警消息指示发现伪AP；

所述装置还包括：

伪AP告警模块，用于发出所述告警消息；

所述伪AP告警模块包括：

伪AP上报模块，用于接收所述伪AP判定模块发送的所述告警消息，并发出告警通知；

伪AP告警中心，用于接收所述伪AP上报模块发出的告警通知，向网管员发出所述告警消息。

本发明实施例中，运营商部署的每一合法AP在传输数据的同时，扫描附近AP发出的信标帧，从获取的信标帧中提取扫描到的AP信息，将提取的AP信息与存储合法AP信息的合法AP信息数据库进行比对，当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP，从而实现针对伪AP的大范围无缝监测，为治理运营级AP面临的伪AP安全问题提供有力支持。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1为本发明实施例中用于监测伪AP的方法流程图；

图2为本发明实施例中合法AP采用蜂窝型组网方式的一种具体示例图；

图3为本发明实施例中WLAN AP的连接范围和搜索范围示意图；

图4为本发明实施例中运营级无线局域网网络覆盖范围示意图；

图5为本发明实施例中用于监测伪AP的装置的示意图；

图6为本发明实施例中图5所示用于监测伪AP的装置的具体实例图；

图7为本发明实施例中用于监测伪AP的装置进行伪AP监测的具体示例图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

为了实现针对伪AP的大范围无缝监测，从而为治理运营级AP面临的伪AP安全问题提供有力支持，本发明实施例提供一种用于监测伪AP的方法。图1为本发明实施例中用于监测伪AP的方法流程图。如图1所示，本发明实施例中用于监测伪AP的方法包括：

在运营商部署的每一合法AP按如下方式监测伪AP：

步骤101、在传输数据的同时，扫描附近AP发出的信标帧。

具体实施时，保证合法AP正常传输数据的同时，扫描附近AP所发出的信标(Beacon)帧。为保证扫描不影响合法AP正常传输数据，可以进一步考虑两个问题。

首先是扫描方式问题，为防止扫描过程中掉线，可以采用单信道扫描方式，即合法AP在指定的信道上(单信道工作模式)，在正常进行数据传输的同时，扫描附近AP发出的信标帧。进一步的，采用单信道扫描方式，可能会出现伪AP采用多信道工作方式，而合法AP工作在单信道上的情况，当两者不在一个信道上时，为了确保合法AP能够监测到伪AP，做到合法AP的扫描范围全覆盖，可以在合法AP部署时采用蜂窝型组网方案，以实现对伪AP的无缝监测。图2为本发明实施例中合法AP采用蜂窝型组网方式的一种具体示例图。如图2所示，合法AP根据组网规划和部署，采用三个不同信道进行面状蜂窝式正六边形组网，而其中每个合法AP都工作在指定的信道上，在进行数据传输的同时，扫描附近的AP。在蜂窝式组网过程中，三个信道分别构成三个小区彼此邻接，从而构成一个覆盖区群；而多个覆盖区群则构成整个服务区。可知，为了实现同频复用，且防止同频干扰，每个覆盖区群中的不同小区不使用相同频率，在不同的覆盖区群中可使用相同的频率进行频率复用。以目前WLAN AP主流使用的2.4GHz频段为例，可使用3个信道1、6、11，按照图2所示的组网方式，来进行蜂窝式组网。当然，运营级无线局域网在部署时，可根据需要和具体情况，选用其他的信道，这里提到的1、6、11信道只是作为举例。

合法AP采用蜂窝型组网方式进行部署是考虑到：

1、WLAN AP的连接范围和搜索范围是不同的。图3为本发明实施例中WLAN AP的连接范围和搜索范围示意图。通常，搜索范围比连接范围大，大约为连接范围的2倍，如图3所示，其中，R1为连接范围，即STA可与AP建立连接并通信的最远距离，R2为搜索范围，即AP信号可被搜索到的最远距离，一般R2>R1，为R1的2倍，也就是在R1～R2的距离内，AP虽无法与STA建立连接，但STA可搜索到AP的信号并进行解析。

2、运营级AP的部署方式：以目前主流使用的2.4GHz频段为例，AP通常使用3个信道1、6、11，可以分别用CH1、CH2和CH3来指代。图4为本发明实施例中运营级无线局域网网络覆盖范围示意图。如图4所示，以CH1为例，当采用蜂窝型组网方案时，可以实现当工作在CH1上的伪AP出现在运营级无线局域网网络覆盖范围内的任何一点，都可以被工作在CH1信道上的合法AP所构成的搜索范围覆盖到，也就是处在运营级无线局域网覆盖范围内的任何一个工作在信道CH1上的伪AP，都可以被合法AP搜索到。同理，工作在CH2和CH3上的伪AP，只要出现在运营级无线局域网覆盖范围内，也都会被监测到。因此无论伪AP设置在哪个信道上，都必然会被合法AP中的某一个监测到。

其次是扫描间隔的设置，由于每个合法AP都只需工作在指定的信道上，在进行数据传输的同时，扫描附近AP发出的信标帧，因此，合法AP可根据自身数据传输的情况，在接收数据的同时，完成附近AP发出的信标帧的扫描和监测功能。因此，合法AP可按任意的扫描间隔，扫描附近AP发出的信标帧。

步骤102、从获取的信标帧中提取扫描到的AP信息。

具体实施时，从获取的信标帧中提取扫描到的AP信息可以包括MAC地址、SSID、信道号、供应商标识其中之一或任意组合。

步骤103、将提取的AP信息与合法AP信息数据库进行比对，其中，合法AP信息数据库中存储合法AP的信息。

具体实施时，合法AP信息数据库中存储的合法AP信息可以是经运营商网管系统认证的合法AP的信息，这些信息可以由网管员在AP维护界面上配置，也可以通过AC(无线局域网接入控制器)统一配置，之后下发至合法AP，且可以进行实时更新。

步骤104、当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP。

具体实施时，监测到伪AP的合法AP还可以发出告警消息，以指示发现伪AP。告警消息的实现方式可多样化，可通过声音、光照等实现本地告警，也可向网管员发送短消息等实现远程告警。

基于同一发明构思，本发明实施例中还提供了一种用于监测伪AP的装置，如下面的实施例所述。由于该装置解决问题的原理与用于监测伪AP的方法相似，因此该装置的实施可以参见用于监测伪AP的方法的实施，重复之处不再赘述。

图5为本发明实施例中用于监测伪AP的装置的示意图。本发明实施例中，在运营商部署的每一合法AP中均内置有该用于监测伪AP的装置，如图5所示，该装置可以包括：

伪AP信息采集模块51，用于对合法AP附近的AP进行信息采集；

伪AP识别模块52，用于对伪AP进行识别；

其中，所述伪AP信息采集模块51可以包括：

伪AP扫描模块511，用于在合法AP传输数据的同时，扫描合法AP附近的AP发出的信标帧；

伪AP信息提取模块512，用于从获取的信标帧中提取扫描到的AP信息；

所述伪AP识别模块52可以包括：

合法AP信息数据库521，用于存储合法AP的信息；

伪AP判定模块522，用于将提取的AP信息与合法AP信息数据库进行比对，当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP。

本发明实施例中，在运营商组建运营级WLAN网络时，对运营商管理的多个合法AP可以采用蜂窝型组网方案进行部署，每个合法AP可以根据组网规划和部署，工作在指定的信道上(单信道工作模式)。在此基础上，每个合法AP上内置一个用于监测伪AP的装置(可表现为应用层安全软件)，从而实现针对伪AP的大范围无缝监测。

具体实施时，伪AP信息采集模块可以对附近具有指定SSID的AP进行信息采集。伪AP信息采集模块包括伪AP扫描模块及伪AP信息提取模块；其中：

伪AP扫描模块在保证合法AP正常传输数据的同时，扫描附近AP所发出的信标帧。此处，为保证扫描不影响合法AP正常传输数据，可以考虑两个问题。首先是扫描方式问题，为防止扫描过程中掉线，可以采用单信道扫描方式，即AP在指定的进行数据传输的信道上扫描附近AP。进一步的，采用单信道扫描方式，可能会出现伪AP采用多信道工作方式，而合法AP工作在单信道上的情况，当两者不在一个信道上时，为了确保合法AP能够监测到伪AP，做到合法AP的扫描范围全覆盖，可以在合法AP部署时采用蜂窝型组网方案，例如采用图2的组网方式，以实现对伪AP的无缝监测。

其次是扫描间隔的设置，由于每个合法AP都只需工作在指定的信道上，在进行数据传输的同时，扫描附近AP发出的信标帧，因此，合法AP可根据自身数据传输的情况，在接收数据的同时，完成附近AP发出的信标帧的扫描和监测功能。因此，合法AP可按任意的扫描间隔，扫描附近AP发出的信标帧。

实施例中伪AP信息提取模块可以从获取的信标帧中提取扫描到的AP的MAC地址、SSID、信道号、供应商标识其中之一或任意组合。例如，伪AP信息提取模块对扫描到的具有指定SSID的AP进行信息提取，包括MAC地址，供应商标识等信息，并将这些信息编辑成指定格式发送给后面的伪AP识别模块。

伪AP识别模块包括合法AP信息数据库和伪AP判定模块；其中：

合法AP信息数据库中存储经运营商网管系统认证的合法AP的信息(MAC地址及供货商标识等)，该数据库可由网管员在AP维护界面上配置，也可通过AC(无线局域网接入控制器)统一配置，之后下发，并可实时更新。

伪AP判定模块将伪AP信息提取模块发送过来的AP信息与合法AP信息数据库进行比对。如发现扫描到的AP信息不在合法AP信息数据库里，则认为该扫描到的AP是伪AP。

具体实施时，伪AP判定模块还可以用于发送告警消息，所述告警消息指示发现伪AP；

图6为本发明实施例中图5所示用于监测伪AP的装置的具体实例图。如图6所示，图5所示用于监测伪AP的装置还可以包括：

伪AP告警模块61，用于发出所述告警消息；

所述伪AP告警模块61包括：

伪AP上报模块611，用于接收所述伪AP判定模块发送的所述告警消息，并发出告警通知；

伪AP告警中心612，用于接收所述伪AP上报模块发出的告警通知，向网管员发出所述告警消息。

实施例中，伪AP判定模块如发现扫描到的AP信息不在合法AP信息数据库里，则认为该扫描到的AP是伪AP，将向伪AP上报模块发送告警消息。伪AP上报模块接收来自伪AP判定模块的告警消息，并通知伪AP告警中心。伪AP告警中心可以向网管员发出发现伪AP的告警，其实现方式可多样化，可通过声音、光照等实现本地告警，也可向网管员发送短消息等实现远程告警。

如上所述，本发明实施例中，在合法AP(假定为AP1)上内置一个用于监测伪AP的装置，该装置包括伪AP信息采集模块和伪AP识别模块。伪AP信息采集模块可在合法AP工作信道上扫描周围的AP(假定为AP2)发出的信标帧，并从获取的信标帧中提取AP2的信息(如MAC地址、SSID、信道号、供货商标识等)。伪AP识别模块可根据信息采集模块上报的信息，基于内置的合法AP信息数据库，来判定获取的附近AP中是否存在伪AP。一旦识别出伪AP，还可以通过伪AP上报模块，向伪AP预警中心进行上报。

图7为本发明实施例中用于监测伪AP的装置进行伪AP监测的具体示例图。如图7所示，监测过程可以包括：

预备工作：运营级WLAN网络正常工作，合法AP正常传输数据。

步骤701、合法AP启用伪AP监测功能，伪AP扫描模块开始工作，在维持正常数据传输的前提下对附近的AP进行扫描，并将扫描到的AP信息传送给伪AP信息提取模块；

步骤702、伪AP信息提取模块将扫描到的具有指定SSID的AP进行信息提取，包括MAC地址，供应商标识等信息，并将这些信息编辑成指定格式发送给伪AP判定模块；

步骤703、伪AP判定模块读取合法AP信息数据库，并将接收到的扫描获取的AP信息与合法AP信息数据库进行比对，判定扫描到的AP是否是伪AP；

步骤704、若伪AP判定模块监测到伪AP，则向伪AP上报模块发送告警消息；

步骤705、伪AP上报模块收到伪AP告警消息后，向伪AP告警中心发送告警，伪AP告警中心发出告警以通知网管员。告警方式可多样化，可通过声音、光照等实现本地告警，也可向网管员发送短消息等实现远程告警。

综上所述，本发明实施例中，运营商部署的每一合法AP在传输数据的同时，扫描附近AP发出的信标帧，从获取的信标帧中提取扫描到的AP信息，将提取的AP信息与存储合法AP信息的合法AP信息数据库进行比对，当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP，从而实现针对伪AP的大范围无缝监测，为治理运营级AP面临的伪AP安全问题提供有力支持。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种用于监测伪无线接入点AP的方法，其特征在于，包括：

运营商部署的每一合法AP按如下方式监测伪AP：

在传输数据的同时，扫描附近AP发出的信标帧；

从获取的信标帧中提取扫描到的AP信息；

将提取的AP信息与合法AP信息数据库进行比对，其中，合法AP信息数据库中存储合法AP的信息；

当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP；

所述合法AP采用蜂窝型组网方式进行部署，且其中每个合法AP工作在指定的单信道上；

所述合法AP采用蜂窝型组网方式进行部署包括：

采用多个不同信道的合法AP进行面状蜂窝式正六边形组网，其中每个合法AP都工作在指定的信道上，信道配置方法为：相邻合法AP工作在不同信道上，且合法AP工作信道的设置需遍历所有工作信道，遍历所有工作信道的相邻AP构成一个覆盖区群，而多个覆盖区群构成整个服务区。

2.如权利要求1所述的方法，其特征在于，所述扫描附近AP发出的信标帧，包括：

在指定的进行数据传输的单信道上扫描附近AP发出的信标帧。

3.如权利要求1所述的方法，其特征在于，所述扫描附近AP发出的信标帧，包括：

按任意的扫描间隔，扫描附近AP发出的信标帧。

4.如权利要求1所述的方法，其特征在于，所述从获取的信标帧中提取扫描到的AP信息包括：

从获取的信标帧中提取扫描到的AP的介质访问控制MAC地址、服务集标识SSID、信道号、供应商标识其中之一或任意组合。

5.如权利要求1所述的方法，其特征在于，合法AP信息数据库中存储的合法AP信息，由网管员在AP维护界面上配置或通过无线局域网接入控制器AC统一配置后，下发至合法AP，且进行实时更新。

6.如权利要求1至5任一项所述的方法，其特征在于，还包括：

监测到伪AP的合法AP发出告警消息，所述告警消息指示发现伪AP。

7.一种用于监测伪AP的装置，其特征在于，运营商部署的每一合法AP中均内置有该装置，该装置包括：

伪AP信息采集模块，用于对合法AP附近的AP进行信息采集；

伪AP识别模块，用于对伪AP进行识别；

其中，所述伪AP信息采集模块包括：

伪AP扫描模块，用于在合法AP传输数据的同时，扫描合法AP附近的AP发出的信标帧；

伪AP信息提取模块，用于从获取的信标帧中提取扫描到的AP信息；

所述伪AP识别模块包括：

合法AP信息数据库，用于存储合法AP的信息；

伪AP判定模块，用于将提取的AP信息与合法AP信息数据库进行比对，当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP；

所述合法AP采用蜂窝型组网方式进行部署，且其中每个合法AP工作在指定的单信道上；

所述合法AP采用蜂窝型组网方式进行部署包括：

采用多个不同信道的合法AP进行面状蜂窝式正六边形组网，其中每个合法AP都工作在指定的信道上，信道配置方法为：相邻合法AP工作在不同信道上，且合法AP工作信道的设置需遍历所有工作信道，遍历所有工作信道的相邻AP构成一个覆盖区群，而多个覆盖区群构成整个服务区。

8.如权利要求7所述的装置，其特征在于，所述伪AP扫描模块具体用于：

在指定的进行数据传输的单信道上扫描合法AP附近的AP发出的信标帧。

9.如权利要求7所述的装置，其特征在于，所述伪AP扫描模块具体用于：

按任意的扫描间隔，扫描附近的AP发出的信标帧。

10.如权利要求7所述的装置，其特征在于，所述伪AP信息提取模块具体用于：

从获取的信标帧中提取扫描到的AP的MAC地址、SSID、信道号、供应商标识其中之一或任意组合。

11.如权利要求7所述的装置，其特征在于，合法AP信息数据库中存储的合法AP信息，由网管员在AP维护界面上配置或通过无线局域网接入控制器AC统一配置后，下发，且进行实时更新。

12.如权利要求7至11任一项所述的装置，其特征在于，所述伪AP判定模块还用于发送告警消息，所述告警消息指示发现伪AP；

所述装置还包括：

伪AP告警模块，用于发出所述告警消息；

所述伪AP告警模块包括：

伪AP上报模块，用于接收所述伪AP判定模块发送的所述告警消息，并发出告警通知；

伪AP告警中心，用于接收所述伪AP上报模块发出的告警通知，向网管员发出所述告警消息。